信息系统安全等级保护建设与测评方法简析

《信息系统安全等级保护建设与测评方法简析》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、S一信息系统安全等级保护建设与测评方法简析术池仁隆张超张春柳(上海市计算机软件评测重点$~[SSTL】上海201112)摘要随着计算机、网络技术的飞速发展，信息系统正在越来越多地融入到社会的各个方面，信息系统安全也得到越来越多的关注。信息系统安全等级保护作为一项保障信息系统安全手段，也受到大中小企业的广泛重视。本文针对信息系统安全等级保护建设过程中首要的定级阶段进行探讨，并分享了信息系统安全等级保护测评的实践经验。关键词信息系统信息安全等级保护测评doi：10．3969~．issn．1674—7933．2012．02．005AnAnalysis

2、onConstructionandEvaluationMethodsforClassifiedSecurityProtectionofInformationSystemCHIRenlongZHANGChaoZHANGChunliu(ShanghaiKeyLaboratoryofComputerSoftwareTesting＆EVaIuating【SSTL】，Shanghai201112，China)AbstractAlongwiththerapiddevelopmentofcomputerandinternettechnology．theinf

3、ormationsystemiSincreasinglyintegratedintoeachaspectofsociety．Informationsystemsecurityhasalsobeenmoreandmorefocused．Classifiedsecurityprotectionofjnformationsystemasaneffectivemethodhasbeenpaidtheextensiveattentionbymediumandsmallsizeenterprises．Thisarticlediscusseskeyactiv

4、itiesintheestablishmentprocessofclassifiedsecurityprotectionandsharestestingandevaluationexperiencesof．classifiedsecurityprotection．KeywordsInformationSystemClassifiedProtectionofInformatiOnSecurityTestingandEvaluation0引言安全系统委员会”等官民合作的专门保护信息安全的权威机构，统一指导、协调安全工作。随着信息化关注程度越来越高，

5、世界各国纷纷推出自21世纪以来，随着我国企业信息化改革的不断深信息系统安全方面的计划和管理措施，美国于1983年制入，企业中办公、营销等活动从单一区域发展到了全国甚定了联邦信息处理标准FIPS1O2《计算机安全认证和认至全球范围，信息系统也逐渐成为企业生产经营过程中可指南》，从而提出了信息系统安全的认证认可制度，一个不可或缺的环节。但是随着信息系统日趋发达，病毒随后陆续出台了《国防部IT安全认证认可过程》破坏、黑客攻击、管理缺失等不良因素引发的信息系统安(DITSCAP)、《国家信息保障认证和认可过程》全问题也日渐增多，成为影响、制约企业发展的

6、主要问题(NIACAP)等一系列信息系统安全保护指南和认证措之·。我国信息安全领域有关部门和专家学者通过多年研施，同时设立了“总统关键基础设施保护委员会”、“国家究，在借鉴国外先进经验和结合我国现阶段情况的基础项目：软件专业技术服务平台建设与完善(10DZ2291800)。上，提出分级保护的策略来解决我国信息安全问题。国务作者简介：池仁隆，男，1983年6．8生，本科，测试工程师，IT管理员，主要从事及研究领域：软件测试、质量保证、信息系统安全，院于1994年2月18El颁布了第一部关于计算机信息系统安Email：crl@ssc．stnsh．c

7、n；全保护的专门法规——《中华人民共和国计算机信息系统张超，本科／测试工程师：张春柳，本科／工程师。安全保护条例》，随后又发布了一系列的标准和规范，保S一表3不同级别系统要求项差异果，给出单元测评结果判定。安全要求类类／层面一级二级三级四级物理安全9193233网络安全9183332信息收集与分析技术要求主机安全6193236二二[应用安全7伯3136工具和袁单准备数据安全及备份恢复24811测评指标确定安全管理制度37f114安全管理机构492020管理要求人员安全管理7111618系统建设管理20284548系统运维管理18416270合计

8、85175290318等级，并根据定级结果进行调整，同时，企业也可以根据行业要求或系统自身特点，额外增加信息系统的安全保护能力。申请信息系统安全等级保